Media informują o nowym wycieku, który może obejmować dane medyczne nawet pięciu milionów Polaków. Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości, a Prezes UODO już zapowiada kontrolę w firmie odpowiedzialnej za oprogramowanie Medyc.   

Zagrożenie i konsekwencje

Incydent jest efektem ataku na aplikację Medyc. Głos w tej sprawie (na swoim profilu na X) już zabrał wicepremier i minister cyfryzacji Krzysztof Gawkowski:

„Komunikat dotyczący potencjalnego incydentu cyberbezpieczeństwa oprogramowania Medyc Centralne Biuro Zwalczania Cyberprzestępczości w ramach szerszego śledztwa prowadzi działania związane z incydentem cyberbezpieczeństwa dotyczącym między innymi oprogramowania firmy Firma Qbusoft Sp. z o. o. tworzącej oprogramowanie Medyc. CSiRT CeZ i Ministerstwo Zdrowia w związku z sytuacją zagrożenia cyberprzestrzeni oraz atakami na podmioty medyczne i dostawców oprogramowania medycznego opracowały zalecenia bezpieczeństwa dla dostawców oprogramowania w ochronie zdrowia. Zostały one przekazane do dostawców w celu implementacji w 16 września 2026 r. Firma Qbusoft Sp. z o. o. jak dotąd nie zgłosiła incydentu cyberbezpieczeństwa do CERT Polska lub CSiRT CeZ. W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje.”

Będzie kontrola UODO

Sprawą zajmuje się również Prezes Urzędu Ochrony Danych Osobowych. Mirosław Wróblewski zapowiedział, że skontroluje firmę Qbusoft.   

Podobne działania Prezes UODO podjął w sierpniu tego roku, po informacjach o wycieku danych z MyDr. Wówczas ogłoszono, że „zastosowane środki techniczne i organizacyjne, w tym analiza ryzyka będą przedmiotem kontroli UODO w spółce, w której doszło do wycieku danych o stanie zdrowia pacjentów”.

Wyciek danych z MyDr dotyczy 19 milionów Polaków. Do 17 września do Prezesa UODO wpłynęło już ponad 50 skarg oraz sygnałów związanych z tym incydentem. A ponad 2 tys. zawiadomień wpłynęło od administratorów danych.

W środę, 16 września, Prezes Mirosław Wróblewski – nie tylko w związku z cyberatakiem dotyczących danych z MyDr, ale także wieloma innymi przypadkami naruszeń – zdecydował, że potrzebne jest przeprowadzenie kontroli na szerszą skalę w zakresie przetwarzania danych dotyczących zdrowia. I podjął decyzję o dodatkowych kontrolach do końca 2026 roku.